Ny kortlægning: Kommunerne står med et strukturelt cybersikkerhedsproblem

Flere kommuner er gennem de senere år blevet ramt af cyberangreb, og nu viser en ny rapport, at der er mange huller i de danske kommunernes it-systemer. Der er tale om forældet software, åbne tjenester, gamle systemer og lækkede brugerkonti. Rapporten er udfærdiget af it-sikkerhedsfirmaet Truesec, som har lavet en sårbarhedsanalyse af kommunernes interneteksponering på vegne af Ingeniøren.

Ifølge Morten von Seelen, som er vice president og partner i Truesec, står kommunerne med et strukturelt cybersikkerhedsproblem. Professor i cybersikkerhed ved Aalborg Universitet Jens Myrup Pedersen stemmer i og kalder rapporten for "et bekymrende billede af kommunernes angrebsflader". Han peger samtidig på, at kommunerne undervurderer de "reelle omkostninger" ved digitalisering, nemlig at borgerne mister tillid til, at kommunen kan beskytte deres data.

Selvom rapporten peger på konkrete eksponeringer, understeger Morten von Seelen, at det ikke betyder, at alle sårbarhederne kan udnyttes direkte, fordi der er tale om en passiv screening. Mille Østerlund, chef for cyberservices hos KommuneCert, er enig i, at rapporten er bekymrende, men understreger også, at den kun viser, "hvordan det ser ud på ydersiden, ikke hvordan det ser ud på indersiden".

Tegner et forkert billede

I toppen af listen over kommuner, som har flest eksponerede it-sårbarheder er Ballerup, Ishøj, Kolding og Silkeborg, skriver Ingeniøren. Morten von Seelen forklarer, at den type sårbarheder, som er fundet, er den type som typisk er blevet udnyttet i tidligere cyberangreb i Danmark. Ballerup Kommune mener, at rapporten ikke kan stå alene, og Silkeborg Kommune peger på, at der fremgår software af listen, som kommunen ikke anvender.

I Ishøj Kommune har man også gemmengået de mest kritiske sårbarheder fra rapporten. It-chef Christian Koerner erkender, at der var en enkelt sårbar server på listen, som kommunen nu har lukket, men han mener, at der tegnes et forkert billede af kommunens sikkerhed.

- Jeg medgiver, at der har været noget sjusk, som ikke ser kønt ud, men det skyldes nogle gamle infosider, som ikke længere bruges, men som stadig fremgik af vores navneserver. Der lå ikke noget farligt indhold, som kunne udnyttes, så derfor mener jeg, at det tegner et forkert billede af sikkerheden i Ishøj, siger han.

SRS